Comment signaler à CSIRT NASK au titre du CRA

1. Qui reçoit votre notification : CSIRT NASK, CSIRT GOV et CSIRT MON

CSIRT NASK, CSIRT GOV et CSIRT MON sont les trois autorités nationales, aux compétences réparties par secteur : NASK pour le civil, GOV pour l’administration d’État, MON pour la défense. NASK opère depuis Varsovie et est à la fois institut de recherche, registre du domaine national et équipe de réponse : une combinaison rare en Europe.

La chaîne est exactement celle-ci : l'autorité comme institution, CSIRT NASK comme équipe opérationnelle qui lit votre notification et qui, avec l'ENISA, forme le destinataire prévu par l'art. 14.

La Pologne n’a pas un CSIRT national mais trois : CSIRT NASK pour le secteur civil, CSIRT GOV pour l’administration d’État — rattaché à l’ABW — et CSIRT MON pour la défense. Ce sont trois autorités distinctes, aux compétences réparties par secteur par la loi sur le système national de cybersécurité.

2. Le canal national, en pratique

La langue de la notification est le polonais. NASK publie avis et matériel technique en polonais, avec une partie en anglais ; pour un fabricant étranger, c’est le point qui exige le plus de préparation parmi les pays couverts par ces pages.

Un fabricant privé relève en règle générale du CSIRT NASK. La répartition ne dépend pas du type d’événement mais du secteur dans lequel vous opérez, et dans les cas mixtes — un fournisseur civil servant aussi la défense — elle se clarifie en amont, pas pendant.

CSIRT NASK · site officiel

3. Le paysage dans lequel il s’inscrit

La Pologne a bâti son dispositif sur la loi de 2018 relative au système national de cybersécurité, ensuite alignée sur la NIS2. C’est un modèle à trois piliers, expressément conçu pour tenir la chaîne militaire séparée de la chaîne civile.

Pour le CRA, la désignation du CSIRT qui reçoit les notifications des fabricants suit la mise en œuvre nationale du règlement et ne découle pas automatiquement de cette répartition. Vérifiez la désignation en vigueur avant de déposer.

Un dernier point pratique : NASK est aussi un institut de recherche et gère le registre du domaine national à côté du CSIRT. C’est un interlocuteur techniquement large, mais la répartition entre les trois CSIRT reste la variable à clarifier en premier, car c’est la seule que vous ne pouvez pas déduire de votre produit.

4. Comment se fait le dépôt, en bref

Le dépôt n’est pas un courriel à l’autorité : il passe par la plateforme de signalement unique instituée par l’art. 16, et l’accès exige des identifiants EU Login validés au préalable.

La chaîne des délais — 24 heures, 72 heures, rapport final — est la même dans toute l’Union et figure en entier sur la page consacrée à l’art. 14. Pour l’autre déclencheur de l’article, le délai final change : il est sur la page incident grave.

5. Ce qu'il faut préparer avant un incident

Cinq choses, mises en place calmement, font la différence entre un signalement déposé à temps et un signalement déposé trop tard. La première est le point de contact vers CSIRT NASK, désigné et validé, avec un suppléant nommé : le jour du cas, on ne cherche pas qui détient les identifiants.

En Pologne, il est utile de préparer à l’avance la version polonaise des contenus techniques récurrents et de confirmer par écrit lequel des trois CSIRT est le vôtre : ce sont les deux choses dont l’absence coûte des heures précisément quand il n’y en a plus.

Et une note sur le temps : la Pologne est en CET/CEST. Les vingt-quatre heures de l’art. 14 ne s’arrêtent pas les jours fériés, nombreux et groupés en Pologne. Si la documentation technique doit être traduite en polonais avant le dépôt, ce temps se retranche des vingt-quatre heures, il ne s’y ajoute pas.

Ce guide expose notre lecture du texte réglementaire et des procédures publiques ; il ne constitue pas un conseil juridique, et les détails opérationnels de la plateforme peuvent évoluer.